Cách gỡ phần mềm gián điệp mà không để người đã cài nó phát hiện

Tìm cách gỡ phần mềm gián điệp, bạn sẽ thấy lời khuyên gần như giống hệt nhau: xóa ứng dụng, đổi mật khẩu, khôi phục cài đặt gốc. Đơn giản, và với một kiểu xâm nhập thì điều đó đúng.

Với kiểu phổ biến nhất, đó lại là bước đầu tiên tệ nhất có thể.

Khác biệt nằm ở người đã cài nó. Nếu đứng sau là một kẻ tội phạm không quen biết, hãy gỡ nó ngay hôm nay. Nếu đó là người yêu hoặc vợ/chồng, người yêu cũ, một người trong gia đình hay chủ lao động — điều chiếm đa số trong các trường hợp thực tế — thì việc xóa nó gây ra hai điều có thể bạn không muốn. Nó cho họ biết bạn đã phát hiện ra, vào một thời điểm bạn không chọn. Và nó hủy luôn bằng chứng.

Xác định bạn đang ở hoàn cảnh nào

Có thể một người trong cuộc sống của bạn có liên quan nếu họ từng tiếp cận được điện thoại, nếu họ biết mật mã của bạn, nếu họ là người thiết lập thiết bị hoặc trả tiền cho tài khoản, hoặc nếu họ biết những chuyện mà họ không có cách thông thường nào để biết. Hãy làm theo trình tự thận trọng ở dưới.

Nhiều khả năng đó là một kẻ tấn công không quen biết nếu điện thoại bị xâm nhập qua một ứng dụng độc hại do chính bạn cài, một liên kết lừa đảo (phishing), hay một bản jailbreak công khai, và không ai trong cuộc sống của bạn có khả năng đã tiếp cận được máy. Hãy chuyển thẳng đến phần gỡ bỏ trực tiếp. Khi đó, tốc độ là bạn đồng hành của bạn.

Nếu không chắc, hãy coi như mình đang ở trường hợp thứ nhất. Con đường thận trọng chỉ tốn của bạn vài ngày. Con đường nhanh, nếu chọn sai, thì không thể làm lại.

Trình tự thận trọng

1. Chưa thay đổi gì cả

Không đụng vào ứng dụng, không đổi mật khẩu, không chỉnh cài đặt. Đừng đối chất với ai. Tạm thời hãy coi như mọi việc bạn làm trên điện thoại đều bị nhìn thấy, kể cả việc đọc bài này.

2. Xin lời khuyên, từ một thiết bị khác

Dùng một chiếc điện thoại hoặc máy tính mà người kia chưa từng có quyền truy cập. Điện thoại của một người bạn, máy tính ở chỗ làm, máy tính ở thư viện.

Các tổ chức hỗ trợ nạn nhân bạo lực gia đình xử lý chuyện này hằng tuần và sẽ giúp bạn lên kế hoạch thứ tự các bước theo đúng hoàn cảnh của bạn. Coalition Against Stalkerware, liên minh chống phần mềm theo dõi lén (stalkerware), duy trì một danh bạ các tổ chức; dự án Safety Net của NNEDV ở Mỹ và Refuge ở Anh đều có dịch vụ hỗ trợ nạn nhân bị lạm dụng công nghệ. Các cuộc gọi này miễn phí và được giữ bí mật.

3. Ghi lại bằng chứng trước khi xóa

Đây là bước sẽ biến mất ngay khi bạn chạm vào nút gỡ cài đặt, và là bước quan trọng nếu chuyện này có lúc liên quan đến luật sư, cán bộ công an hay tòa án gia đình.

Ảnh chụp các màn hình cài đặt còn hơn không có gì. Một bản báo cáo pháp y từ việc phân tích bên ngoài tốt hơn đáng kể: nó cho thấy cái gì đã được cài, có những quyền truy cập nào, và từ khi nào, theo cách mà người không rành kỹ thuật cũng đọc được. Đây là trường hợp công cụ trả phí chứng tỏ giá trị của mình, và nên chuẩn bị trước khi gỡ bỏ chứ không phải sau. Haris Shield tạo ra đúng loại báo cáo này.

4. Bảo vệ tài khoản, từ một thiết bị khác, theo thứ tự này

Quyền truy cập tài khoản thường mới là kênh thật sự, và nó vẫn còn nguyên sau khi xóa sạch điện thoại.

1. Email trước tiên. Email dùng để đặt lại mọi thứ khác. Đổi mật khẩu, bật xác thực hai yếu tố, và kiểm tra email cũng như số điện thoại khôi phục. Một địa chỉ khôi phục thuộc về người kia sẽ trao lại tài khoản cho họ ngay lập tức, dù mật khẩu mới mạnh đến đâu.
2. Apple ID hoặc tài khoản Google. Làm tương tự, cộng thêm việc xem lại danh sách thiết bị đang đăng nhập và gỡ những thiết bị bạn không nhận ra. Lưu ý rằng việc gỡ bỏ có thể bị phát hiện.
3. Ứng dụng nhắn tin. Kiểm tra các thiết bị được liên kết: WhatsApp, Signal và Telegram đều cho phép một thiết bị khác giữ kết nối vô thời hạn. Đồng thời kiểm tra xem có quy tắc chuyển tiếp nào bị lặng lẽ thêm vào email của bạn không.
4. Ngân hàng và mua sắm, nơi một chiếc thẻ đã lưu cũng tiết lộ bạn đã ở đâu.

Hãy làm tất cả những việc này từ một thiết bị mà người kia chưa từng chạm vào.

5. Lên kế hoạch gỡ bỏ, đừng làm theo cảm tính

Hãy quyết định một cách có cân nhắc, khi đã có sự hỗ trợ, giữa ba lựa chọn:

• Làm sạch điện thoại, chấp nhận rằng người kia có thể nhận ra.
• Thay điện thoại, thiết lập lại từ đầu, với một Apple ID hoặc tài khoản Google mới, không khôi phục gì cả.
• Tạm để nguyên và dùng một chiếc điện thoại thứ hai, riêng tư, cho mọi việc nhạy cảm. Đôi khi chiếc điện thoại an toàn nhất lại là chiếc vẫn trông y như trước.

Lựa chọn thứ ba là điều không ai viết đến, nhưng trong một số hoàn cảnh đó lại là lựa chọn đúng.

Gỡ bỏ trực tiếp, khi không có ai trong cuộc sống của bạn liên quan

Trên Android

1. Thu hồi các quyền trước khi gỡ cài đặt. Quản trị thiết bị trước tiên, trong Cài đặt, Bảo mật, Ứng dụng quản trị thiết bị — một ứng dụng có quyền quản trị thiết bị có thể từ chối bị gỡ cho đến khi bạn thu hồi quyền đó. Sau đó là dịch vụ Hỗ trợ tiếp cận, rồi đến quyền truy cập thông báo.
2. Gỡ cài đặt ứng dụng, trong Cài đặt, Ứng dụng.
3. Bật lại Play Protect và chạy một lượt quét.
4. Cập nhật Android và các bản cập nhật hệ thống Google Play.
5. Đổi mật khẩu Google và đăng xuất khỏi các thiết bị lạ.

Trên iPhone

1. Gỡ các cấu hình (configuration profile) bạn không nhận ra, trong Cài đặt, Cài đặt chung, Quản lý VPN & thiết bị.
2. Cập nhật iOS. Phần lớn các vụ xâm nhập iPhone dựa vào những lỗ hổng Apple đã vá, nên chỉ riêng bước này đã loại bỏ được nhiều trường hợp.
3. Đổi mật khẩu Apple ID và xem lại danh sách thiết bị.
4. Nếu điện thoại đã bị jailbreak, cập nhật iOS sẽ gỡ bỏ jailbreak, và khôi phục cài đặt gốc là cách an toàn hơn.
5. Cân nhắc Chế độ phong tỏa (Lockdown Mode) nếu bạn có lý do thật sự để nghĩ mình bị nhắm tới có chủ đích.

Cái bẫy của bản sao lưu

Đây là chỗ người ta tự tay phá hỏng công sức của mình.

Khôi phục cài đặt gốc xóa sạch điện thoại. Sau đó bạn khôi phục bản sao lưu, vì nếu không bạn sẽ mất ảnh và tin nhắn, và nếu bản sao lưu được tạo trong lúc điện thoại đang bị xâm nhập, bạn có thể cài lại vấn đề ngay ngày đầu tiên với chiếc điện thoại sạch.

Cách tránh:

• Thiết lập như máy mới, không khôi phục từ bản sao lưu, nếu bạn chịu được.
• Nếu buộc phải khôi phục, hãy dùng bản sao lưu được tạo trước khi bị xâm nhập, nếu bạn xác định được ngày. Bản phân tích pháp y ở bước 3 chính là thứ cho bạn biết khoảng thời gian mọi thứ bắt đầu thay đổi.
• Khôi phục dữ liệu có chọn lọc: lấy ảnh và danh bạ ra khỏi bản sao lưu thay vì khôi phục toàn bộ ứng dụng và cài đặt.
• Sau khi khôi phục, hãy kiểm tra lại các màn hình cài đặt. Cấu hình và các quyền có thể quay lại cùng với việc khôi phục cài đặt.

Và lưu ý điều mà khôi phục cài đặt gốc không sửa được: nó chẳng làm gì được với một người biết mật khẩu tài khoản của bạn. Nếu đường vào là tài khoản, thì xóa sạch điện thoại hoàn toàn vô ích.

Khôi phục cài đặt gốc có luôn hiệu quả không?

Với phần mềm theo dõi lén thương mại trên một thiết bị bình thường, có. Với bất cứ thứ gì có quyền root hoặc jailbreak, thường là có, vì việc khôi phục sẽ xóa hệ thống đã bị chỉnh sửa. Với phần mềm gián điệp cấp nhà nước, nhìn chung là có xét về khả năng bám trụ, vì phần lớn các mã độc đánh thuê không tồn tại sau khi khôi phục cài đặt gốc, và một số thậm chí không tồn tại sau khi khởi động lại — đó cũng là lý do chúng bị cài lại, một cách lặng lẽ, theo đúng con đường cũ.

Đó mới là điểm mấu chốt. Gỡ bỏ chữa được sự lây nhiễm. Nó không bịt được đường vào. Nếu đường vào là việc tiếp cận vật lý một chiếc điện thoại không khóa, và khả năng tiếp cận đó vẫn còn, bạn sẽ lại quay về đây.

Bịt đường vào

• Một mật mã không ai khác biết. Kiểm tra xem không có vân tay hay khuôn mặt lạ nào được thêm vào.
• Cập nhật ngay ngày chúng ra mắt, cả hệ điều hành lẫn kho ứng dụng.
• Xác thực hai yếu tố, bắt đầu với email.
• Không jailbreak hay root, dù là bạn hay bất kỳ ai khác.
• Xem lại danh sách thiết bị của tài khoản vài tháng một lần.
• Xem lại các tính năng chia sẻ. Chia sẻ vị trí được thiết lập trong một giai đoạn êm đẹp hơn rồi bị quên đi, bản thân nó đã là một hình thức theo dõi.

Tóm lại

Nếu một người bạn quen biết có thể đứng sau: lời khuyên trước, ghi lại bằng chứng thứ hai, tài khoản thứ ba, gỡ bỏ sau cùng, và không bao giờ đối chất trước khi bạn sẵn sàng.

Nếu đó là một kẻ tấn công không quen biết: trên Android, thu hồi quyền quản trị thiết bị trước khi gỡ cài đặt; cập nhật hệ điều hành; đổi mật khẩu từ một thiết bị khác; và cẩn thận với bản sao lưu mà bạn khôi phục.

Dù thế nào, gỡ bỏ chỉ chấm dứt sự lây nhiễm, chứ không đóng được cánh cửa. Nếu bạn không thay đổi con đường họ đã vào, chuyện tương tự sẽ lại xảy ra.

Nguồn

• Coalition Against Stalkerware, Thông tin dành cho người bị hại: stopstalkerware.org/information-for-survivors
• NNEDV Safety Net, an toàn công nghệ: techsafety.org
• Apple, Giới thiệu về Chế độ phong tỏa: support.apple.com/en-us/105120
• Google, Play Protect: support.google.com/googleplay/answer/2812853

Đọc thêm: dấu hiệu phần mềm theo dõi lén và những điều không nên làm, cách phát hiện phần mềm gián điệp trên Android.